Modelos e registos · ISO 37301 · Cláusula 4.6
Modelo de matriz de riscos de compliance ISO 37301
A avaliação que cruza cada obrigação com a atividade que a poderia incumprir e decide que controlos são necessários, área a área.
Numa frase
A matriz de riscos de compliance identifica cada risco relacionando uma obrigação com as atividades que a poderiam incumprir, analisa-o por probabilidade e consequências, avalia-o face aos controlos existentes e decide as ações; a ISO 37301 obriga a conservar essa avaliação e as ações para tratar os riscos (4.6), e a repeti-la periodicamente e sempre que haja mudanças.
- Onde a norma o exige
- ISO 37301 · Cláusula 4.6 As secções seguem a ISO 37301:2021, a edição em vigor, que substituiu o guia ISO 19600.
- Tipo de informação
- Registo obrigatório Informação documentada a conservar (4.6)
- Quem o preenche
- Função de compliance com cada área Os responsáveis de área trazem a forma como se trabalha na realidade; o compliance traz o método
- Quando
- Pelo menos uma vez por ano E perante alterações normativas, novas atividades, novos mercados ou incumprimentos relevantes
- Durante quanto tempo se conserva
- Definido pela organização A ISO 37301 não fixa prazos. Em Espanha, convém ter em conta os prazos de prescrição dos crimes que o sistema pretende prevenir, porque o registo é a prova da diligência.
O que a norma exige
O que o referencial ISO 37301 exige e o que fica ao seu critério
A norma pede que se identifiquem, analisem e avaliem os riscos de compliance. O método de identificação é concreto: relacionar as obrigações da secção 4.5 com as atividades, produtos, serviços e aspetos da operação. Uma matriz que não parte das obrigações não responde ao que é pedido.
A avaliação repete-se a intervalos planeados e quando mudam as circunstâncias ou a organização. O que se conserva é a avaliação e as ações decididas, de forma a ver-se como evoluem os riscos.
Não é a matriz de riscos e oportunidades da ISO 9001: aqui o risco é incumprir uma obrigação, e as consequências incluem sanções, responsabilidade penal e danos reputacionais.
Estrutura
Campos que o modelo deve ter
- Obrigação de que decorre o risco
- Atividade, processo ou área onde poderia ser incumprida
- Descrição do risco e causas
- Probabilidade e consequências (sancionatórias, penais, reputacionais)
- Controlos existentes e a sua eficácia
- Nível de risco residual
- Ações decididas, responsável e prazo
- Data da avaliação e da próxima revisão
Exemplo
Exemplo: risco de suborno na área comercial
Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.
| Campo | Conteúdo |
|---|---|
| Obrigação | Contrato-quadro com um hospital público e código de ética setorial (fictício): proibição de ofertas ao pessoal de compras |
| Área | Direção comercial · vendas a entidades públicas |
| Risco | Convites ou ofertas a pessoal com poder de decisão em concursos públicos |
| Causas | Objetivos comerciais ligados a adjudicações; ausência de limites escritos |
| Avaliação | Probabilidade média · consequências muito elevadas (penais e exclusão da contratação pública) |
| Controlos existentes | Código de ética assinado pelos colaboradores |
| Ações | Registo de ofertas e hospitalidades com aprovação prévia · Formação específica para a equipa comercial · Compliance · 31 de dezembro |
| Data | Avaliação anual, 15 de setembro de 2026 |
Na auditoria
Erros que os auditores costumam apontar
- Riscos genéricos («incumprimento normativo») sem obrigação nem atividade concretas.
- A avaliação não se repete após um incumprimento ou uma investigação.
- A avaliação anterior é apagada ao atualizar.
- Controlos dados como eficazes que ninguém verificou.
No Kimobox
Como se gere este registo no Kimobox
- 1A matriz de riscos de compliance regista-se com o seu responsável e a ação associada.
- 2Cada risco de incumprimento fica identificado e priorizado por área.
- 3Após cada incumprimento relevante, o mapa de riscos é atualizado a partir da própria investigação.
Perguntas frequentes
O que nos perguntam antes de começar
É o mesmo que o mapa de riscos penais?
O mapa de riscos penais centra-se nos crimes que podem gerar responsabilidade da pessoa coletiva nos termos do art. 31 bis do Código Penal espanhol. A matriz da ISO 37301 é mais ampla: cobre qualquer obrigação, mesmo que o seu incumprimento não seja crime.
E o mapa de riscos fiscais da UNE 19602?
É um subconjunto especializado. Quem mantenha os dois sistemas pode ter uma matriz única, com os riscos tributários desenvolvidos com mais detalhe e o seu próprio órgão responsável.
Faça a gestão dos registos do referencial ISO 37301 sem modelos avulsos
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Matriz de riscos e oportunidades ISO 9001: modelo
Como construir uma matriz de riscos e oportunidades para a ISO 9001 (6.1): origem no contexto, avaliação…
Planeamento
Planear em compliance significa identificar onde pode falhar o cumprimento e fixar objetivos concretos para…
Modelo de registo de obrigações de compliance ISO 37301
Como documentar as obrigações de compliance exigidas pela ISO 37301: requisitos obrigatórios e compromissos…
Modelo de política de compliance ISO 37301
O que deve conter a política de compliance segundo a ISO 37301: compromissos, independência da função…
Fontes
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO 37301:2021 — Sistemas de gestão de compliance. Requisitos com orientação para utilização ISO · Abril de 2021
- Ley Orgánica 10/1995, Código Penal, art. 31 bis BOE-A-1995-25444 · Texto consolidado